1

Ao fazer uma requisição DELETE numa url que não suporta OPTIONS o navegador me retorna:

405 Method Not Allowed

Existe alguma forma de impedir, no meu código JavaScript, que o navegador envie um pré-request OPTIONS antes de enviar um DELETE?

1 Resposta 1

2

Não (*). Quando o navegador está enviando requisições AJAX para um serviço, ele vai mandar todos os cookies relacionados ao domínio do serviço. Para proteger o cenário onde você navega para http://site.malvado.com/, e o site manda um DELETE (ou POST, ou PUT) para http://seu.banco.com/contas, se o site usa um mecanismo de autenticação simples baseado na presença de um cookie do usuário, então o site irá apagar as suas contas. Para prevenir esse tipo de ataque, quando um navegador (moderno) está enviando requisições para um domínio que não seja o da página, ele segue o protocolo CORS, que requer uma requisição OPTIONS. Se o servidor está ciente da possibilidade desses ataques (ou seja, não usa uma forma de autenticação que seja vulnerável), então ele irá habilitar o CORS e saberá responder às requisições OPTIONS. Se o serviço não aceita o OPTIONS, então é possível que ele não esteja preparado para lidar com os ataques de cross-domain.

(*) No entanto, há situações em que você quer passar por cima dessa restrição. Algumas opções:

  • utilização de um proxy no mesmo domínio da sua página: a sua página faz a requisição para um serviço na aplicação. Como o domínio é o mesmo da página, a restrição de CORS não existe. O navegador irá enviar os cookies do seu domínio, e o seu código no servidor (e.g., PHP, C#) pode fazer a requisição ao serviço final. Note que você não terá nenhum dos cookies daquele domínio, o que "salva" o serviço do ataque
  • uso de algum plug-in no navegador: dependendo da implementação do plug-in ele pode ter acesso a todos os cookies, e na sua implementação, ele não tem restrição de CORS. Mas essa solução requer que o usuário instale o plug-in na sua máquina, o que limita bastante a sua utilização.
2
  • Realmente ele não aceita OPTIONS. O interessante é que isso não acontece quando faço POST. Você poderia me indicar uma extensão(Chrome)?
    – DaviAragao
    Commented 18/06/2015 às 10:50
  • Sinto, não conheço nenhuma extensão. Se o servidor suporta o POST, então pode ser que seja uma versão que só esteja configurado para suportar GET e POST. Se for esse o caso, e o servidor suporte o X-HTTP-Method-Override, você pode tentar usá-lo para ver se funciona. Commented 18/06/2015 às 16:02

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .